Los ataques de manipulación de precios en protocolos de préstamos cripto alcanzaron 32 en 2026 hasta el 2 de septiembre, casi el triple de todo 2025. La jugada nunca cambia: inflar un token ilíquido, pedir prestados activos reales contra él, irse.
Conclusiones clave
- Los ataques de manipulación de precios en protocolos de préstamos cripto alcanzaron 32 en 2026 hasta el 2 de septiembre, frente a 12 en todo 2025, según la firma de inteligencia blockchain TRM Labs.
- La jugada nunca cambia: inflar un token que nadie comercia, pedir prestados activos reales contra él, y marcharse, dejando al protocolo con colateral sin valor.
- Los préstamos DeFi han escalado a aproximadamente 50 billion dollars en valor total bloqueado, pero sus estándares de colateral no han seguido el ritmo del dinero.
- Tectonic perdió alrededor de 70 million dollars, y la cadena Cronos se rebobinó a sí misma para deshacer el daño, una admisión silenciosa de que el código es ley siempre fue negociable.
- La solución real es aburrida, gestión de riesgos centralizada, exactamente lo que los puristas de DeFi se niegan a construir.
El negocio de préstamos de DeFi está viviendo su momento 2008, y casi nadie lo está nombrando. Durante los primeros ocho meses de 2026, los atacantes llevaron a cabo 32 ataques de manipulación de precios contra protocolos de préstamos cripto, más que cualquier año completo registrado y casi el triple de los 12 registrados en todo 2025. El truco es vergonzosamente simple: inflar una moneda que apenas se comercia, pedir prestado dinero real contra ella, y luego desaparecer.
¿Por qué un mercado de 50 billion dollar está siendo desmantelado por un viejo truco?
Porque la industria escaló el dinero sin escalar los controles de riesgo. En los últimos dos años, el valor total bloqueado en préstamos cripto ha crecido aproximadamente un 56 por ciento hasta unos 50 mil millones de dólares en más de 570 protocolos, con préstamos pendientes cercanos a 2.9 mil millones de dólares. Ese crecimiento no provino de colaterales más seguros. Provino de listar más colaterales, y cada nuevo token de cola larga es una nueva superficie de ataque.
TRM Labs ahora considera la manipulación de precios como aproximadamente uno de cada ocho de todos los hacks cripto, frente a uno de cada diecisiete en 2022. El vector de ataque está aumentando mientras que la sofisticación de la industria no lo hace.
Cómo funciona el ataque, en lenguaje sencillo
Un atacante elige un token con poca liquidez, algo con un precio de mercado real que solo unas pocas operaciones realmente respaldan. Inflan ese precio, o, cuando pueden, manipulan el oráculo que reporta el precio a un protocolo. Luego depositan el token inflado como colateral y toman prestados stablecoins o Ether contra él. En el momento en que el precio colapsa de vuelta a la realidad, el colateral vale una fracción del préstamo. El protocolo se queda con un paquete que no puede vender, y la deuda se vuelve incobrable.
Eso no es un error. Es un modelo de negocio que no se hace una pregunta básica que los bancos aprendieron a hacerse hace mucho tiempo: ¿este colateral realmente vale lo que el feed de precios dice que vale?
¿Quién gana y quién pierde cuando los préstamos fallan?
Los perdedores más claros son las personas que depositaron dinero en los pools afectados. Cuando un protocolo registra pérdidas por deudas incobrables, esas pérdidas se socializan entre los depositantes en lugar de ser absorbidas por el atacante. En septiembre de 2026, Tectonic, el mayor protocolo de préstamos en la cadena Cronos, perdió alrededor de 70 millones de dólares debido a una manipulación de su token TONIC. Cronos respondió deteniendo la cadena y restaurando un estado previo al ataque, rebobinando el propio libro mayor.
Esa reversión es la historia que se esconde dentro de la historia. Una blockchain descentralizada, ante un robo de 70 millones de dólares, hizo lo más centralizado imaginable: pulsó deshacer. Funcionó, y el atacante finalmente extrajo solo unos 6 millones de dólares. Pero también demostró, oficialmente, que la finalidad y la inmutabilidad son términos de marketing en lugar de leyes físicas. Cuando la cifra es lo suficientemente grande, alguien con las claves encuentra la manera.
Los ganadores son las empresas de seguridad y los especialistas en riesgo que cobran por auditar, monitorizar y atribuir exactamente este tipo de ataque. Los protocolos con parámetros de colateral genuinamente conservadores, aquellos que se niegan a listar el token meme más nuevo para perseguir el valor total bloqueado, consolidan confianza en silencio. Cada titular como el de Tectonic canaliza depósitos hacia los pocos cautelosos.
¿No hemos visto esta película antes?
Sí, dos veces. En 2020, los ataques de préstamos flash permitieron a cualquiera tomar prestados fondos ilimitados para una transacción y manipular precios al instante. La respuesta de la industria fueron mejores oráculos: precios promedio ponderados por tiempo y fuentes descentralizadas que dificultaron la manipulación instantánea. Funcionó, por un tiempo.
Ahora el ataque ha mutado a una forma más lenta y sutil. En lugar de pedir prestado mediante flash loans, los atacantes simplemente eligen colaterales tan ilíquidos que incluso un precio correcto es ficción. Esto es la repetición cripto de la crisis financiera de 2008, donde los bancos prestaban contra casas cuyos valores nadie verificaba y el prestatario establecía efectivamente las condiciones. La lección que los bancos interiorizaron tras 2008 fue brutal y aburrida: la calidad del colateral importa más que la cantidad. DeFi se ha negado a aprenderla, porque exigir colateral líquido y verificable ralentizaría el crecimiento del valor total bloqueado por el que todos compiten.
Los nombres siguen cambiando pero la herida es la misma. Moonwell perdió unos 8.7 millones de dólares por un oráculo manipulado. Notional Finance perdió 1.7 millones de dólares cuando un atacante usó un desbordamiento numérico para hacer que un pasivo negativo se leyera como cero. Injective perdió 4.9 millones de dólares a través de un oráculo desactivado que seguía registrado. En Sui, el protocolo Full Sail se cerró por completo después de que un atacante controlara un oráculo para llevar los precios a una centésima del valor de mercado, depositó al precio falso, luego lo restauró y retiró más de lo que puso. Mismo esqueleto, diferente piel.
¿Hacia dónde se dirige esto en los próximos tres años?
Los estándares de colateral se formalizarán, porque la alternativa es la extinción. Esperen parámetros de riesgo on-chain, umbrales mínimos de liquidez, límites de préstamo en activos de cola larga y circuit breakers que se vuelvan estándar, aplicados por código en lugar de promesas de marketing. Las subastas de deuda incobrable, donde los protocolos venden colateral tóxico a quien ofrezca, se convertirán en mantenimiento rutinario en lugar de una emergencia.
La pregunta más difícil es la gobernanza. Cronos acaba de sentar un precedente de que una cadena puede rebobinarse a sí misma para deshacer un robo. Ese poder no quedará sin usar. En tres años, esperen que más cadenas construyan mecanismos de emergencia formales, y esperen que la lucha por quién tiene la llave de rebobinado se convierta en una de las batallas de gobernanza definitorias en cripto. La brecha entre descentralizado y seguro se está ampliando, y la mayoría de los protocolos van a elegir seguro.
El ángulo del trader
Nada de esto es una predicción de precio, pero es un filtro. Cuando evalúes un protocolo de préstamos, deja de mirar el crecimiento del valor total bloqueado y empieza a mirar qué acepta como colateral. Una larga lista de colaterales exóticos y de baja liquidez no es una característica; es una bandera roja. Listas blancas de colateral conservadoras, parámetros de riesgo divulgados y un historial de negarse a perseguir el token de moda son el verdadero foso defensivo.
Para cualquiera que tenga un activo de menor capitalización, la lección es más clara: tu token no es solo una inversión, es un arma potencial. La escasa liquidez es precisamente lo que hace que un activo sea atractivo para este tipo de atacante. La misma propiedad que permite que un token suba 10x en un día es la que permite a alguien pedir dinero real prestado contra un precio falso. Si lo que tienes puede moverse con unos pocos miles de dólares de volumen, entiende que también puede ser utilizado como arma contra un pool de préstamos, y que las consecuencias recaen en los depositantes ordinarios en lugar del atacante.
Esta es la incómoda verdad que DeFi no quiere admitir: la solución para los ataques de manipulación de precios no es otra auditoría de contratos inteligentes. Las auditorías revisan el código en busca de errores. Estos ataques usan código que funciona exactamente como está escrito. La verdadera solución es la gestión de riesgos centralizada: listas blancas de colateral, mínimos de liquidez, límites de préstamo, interruptores de circuito anulados por humanos. Es la aburrida maquinaria de la banca, y es la única cosa que la ideología de la industria le dice que no construya.
Así que aquí está la pregunta que vale la pena considerar: si una blockchain puede rebobinarse para deshacer un error de 70 millones de dólares, ¿qué significó realmente la inmutabilidad, y cuando llegue el próximo gran exploit, en quién confías para decidir qué errores se deshacen?
Preguntas frecuentes: ¿Qué son los ataques de manipulación de precios en DeFi?
Son ataques en los que alguien infla el precio de un token de baja liquidez, directamente o manipulando el oráculo que reporta su precio, deposita ese token como colateral en un protocolo de préstamos, pide prestados activos reales contra él y luego deja que el precio colapse. El protocolo se queda con un colateral que vale mucho menos que el préstamo, creando una deuda incobrable que recae en los depositantes. TRM Labs contó 32 de estos ataques en 2026 hasta el 2 de septiembre, frente a 12 en todo 2025.
Preguntas frecuentes: ¿Por qué la cadena Cronos se rebobinó a sí misma después del hack de Tectonic?
Tectonic, el mayor protocolo de préstamos de Cronos, perdió unos 70 millones de dólares por una manipulación de su token TONIC en septiembre de 2026. En lugar de dejar que el atacante se quedara con los fondos, los validadores de Cronos detuvieron la cadena y restauraron un estado anterior al ataque, limitando el botín del atacante a aproximadamente 6 millones de dólares. Fue una demostración contundente de que una cadena descentralizada dará marcha atrás cuando hay suficiente dinero en juego.
Preguntas frecuentes: ¿Cómo pueden los protocolos de préstamos detener los ataques de manipulación de precios?
No principalmente con más auditorías de código, porque estos ataques usan código que funciona como está diseñado. Los controles efectivos son los aburridos, tipo bancarios: aceptar solo colateral con liquidez profunda y verificable; limitar cuánto se puede pedir prestado contra activos de cola larga; usar oráculos endurecidos y resistentes a la manipulación; e incorporar interruptores de circuito que pausen los préstamos cuando los precios se mueven anormalmente. Estos son los controles de riesgo que la industria ha resistido porque frenan el crecimiento del valor total bloqueado.
Preguntas frecuentes: ¿Qué significa esto para alguien que posee un criptoactivo de pequeña capitalización?
La liquidez escasa corta en ambos sentidos. La misma propiedad que permite que un token se dispare bruscamente también lo hace atractivo como material de manipulación en un ataque de préstamo. Si el precio de un token puede moverse con unos pocos miles de dólares de volumen, puede usarse para pedir prestados activos reales contra un precio inflado, y las pérdidas resultantes recaen en los depositantes ordinarios de los pools afectados en lugar de en el atacante. La profundidad de la liquidez es una señal de riesgo tanto como una señal de precio.